Сюрприз для «пиратов»: баг в Huawei AppGallery позволяет бесплатно скачивать платный софт
Согласно источнику, ошибку заметил разработчик Дилан Руссель, после чего написал о ней в своем блоге. Обнаружился баг совершенно случайно: Дилан решил разобраться, как работает API AppGallery. Для этого создал собственный API, который возвращает JSON-файл с информацией о размещенном в магазине приложении.
Для теста он выбрал случайное бесплатное приложение, и обнаружил, что JSON содержит прямую ссылку на скачивание APK. Девелопер проделал то же самое с платным приложением, и с удивлением обнаружил то же самое — софт можно скачать по прямой ссылке из JSON, обходя форму его оплаты.
Оказалось, что ссылка на скачивание не защищается никакими дополнительными мерами, а просто предоставляется сервером по первому запросу. Более того, скачанный таким образом софт не содержит никаких «барьеров» или проверок — он загружается в обход оплаты и успешно работает на смартфоне.
Об этой ошибке Руссель сообщил Huawei еще в начале февраля 2022 года. Компания ответила девелоперу и попросила не афишировать этот баг. Однако спустя три месяца уязвимость так и не была закрыта, поэтому информация попала в открытый доступ.